Adquisición de evidencia forense informática

La alteración de evidencias podría suceder incluso en remoto, pues en algunos dispositivos es posible hacer un reset de fábrica, un borrado o un bloqueo del terminal, simplemente enviando un mensaje. Además, las llamadas o los datos entrantes estarían contaminando las pruebas. Incluso si no hay evidencia de que esto haya sucedido, el simple hecho de que se tenga constancia de la existencia de vulnerabilidades asociadas al dispositivo, que pudieran ser explotadas para contaminar las evidencias, podría poner en evidencia la validez de las mismas. 

Por otra parte, existe también el riesgo de que, si el teléfono está infectado con malware, éste se propague por la red a la que se conecte el teléfono. Y aún más grave sería la posibilidad de que se trate de un teléfono bomba que pueda ser detonado en remoto.

Así pues, hay que aislar el terminal de cualquier tipo de red inalámbrica; lo que puede hacerse de alguna de las siguientes maneras:
- Poniéndolo en modo avión.
- Apagándose. Pero esto tiene el riesgo de que luego, al encenderlo, nos pida el pin y no podamos acceder a él para obtener las evidencias. Por ello, siempre es mejor dejarlo encendido y conectarlo a la corriente para que no se agote la batería.
- Guardándolo en una caja de Faraday.
- Sustituyendo la SIM por una CNIC (Cellular Network Isolation Card): esto permite que el teléfono siga encendido pero que no tenga conexión con la red de telefonía.
- Pidiéndole a la compañía telefónica que lo saque de la red o haciéndo nosotros mismos un jamming/spoofing del dispositivo (emitir una señal más fuerte que la de la torre que envíe un
no-carrier<"> al teléfono). Por supuesto, hay que tener en cuenta las implicaciones legales que estos dos métodos pueden tener. Normalmente son las Fuerzas y Cuerpos de Seguridad del Estado (u otros organismos estatales) los que podrán hacer eso, previa autorización judicial.


Otra buena guía es el manual de buenas prácticas de la ACPO (Association Of Chief Police Officers): Good Practice Guide for Computer-Based Electronic Evidence.



Por ejemplo, explica que de un ordenador en funcionamiento se pueden extraer detalles de la conexión a la red y datos de la memoria volátil. Es decir: procesos y servicios en ejecución, información del sistema, información de autoarranque, información del registro, puertos abiertos, puertos cerrados y puertos en escucha, ARP caché, aplicaciones desencriptadas, usuarios y contraseñas y código residente en memoria, entre otras cosas.


Esta información es importante porque permite comprender mejor qué estaba sucediendo en el ordenador en un momento determinado y complementa a la que se pueda extraer del disco. Por ejemplo, una de las cosas que se pueden investigar con los datos de la memoria volátil es la presencia de una puerta trasera abierta por un troyano.


Para recuperar la memoria volátil se puede utilizar un live-USB con las herramientas forenses adecuadas. Los pasos a seguir son:


- Conectar el USB.
- Ejecutar el script con las herramientas.
- Expulsar el USB.
- Desconectarlo.
- Ahora el sistema ya se puede apagar y el USB donde se ha guardado la información se conecta al equipo forense para analizarla, por ejemplo con Volatility.




No siempre es necesario acudir físicamente con las herramientas forenses al puesto a analizar. También se puede obtener información «al vuelo» desde la red a la que el equipo está conectado si está instalado un agente de software forense.

Otros dispositivos que también se pueden utilizar para obtener información de la conexión de red del dispositivo que se está analizando son los routers y firewalls (cortafuegos). Y puede consultarse desde consola.

Espero que os hayan gustado estas entradas como una pequeña introducción a la gestión de incidentes y adquisición de evidencias.


Por cierto, si queréis saber más sobre la adquisición de evidencias volátilies (a parte del volcado de la RAM), no dejéis de consultar este post de los chicos de Security at Work. Hay cosas muy interesantes.

Medidas para la prevención de fugas de información.

A día de hoy creo que todos tenemos claro que el activo más importante de una organización es la información que maneja. Información sobre sus clientes, finanzas, empleados, investigaciones o proyectos. Sin duda algo de gran valor para cualquier empresa y para lo cual deberá poner todos los medios disponibles para mantener un nivel óptimo de la seguridad de esta inforación, para evitar así el acceso de personas no autorizadas o su fuga, por lo que deberá de establecer una política de prevención de fuga de información.



Las causas de esta fuga de información pueden ser variadas, entre las que podemos encontrar:
Acceso físico no autorizado a los sistemas de información
Acceso remoto no autorizado a los sistemas de información
Acceso físico o remoto de personal autorizado a los sistemas de información

Omitiendo las dos primeras posibilidades, que serían causadas por un ataque a la seguridad lógica y física de la organización, una de las causas más probables, y de ahí aquello que “el eslabón más débil de la cadena de la seguridad es el usuario“, es la ausencia de políticas de seguridad que establezcan un control de las comunicaciones y de los dispositivos USB para almacenamiento.

Esta ausencia de políticas de seguridad de este tipo permitiría a un usuario, de forma intencionada o no, utilizar las comunicaciones de la organización para enviar información confidencial hacia el exterior o sacar información de la empresa utilizando un dispositivo USB.

A nivel de comunicaciones, bastaría con aplicar políticas que controlen a nivel de seguridad perimetral qué o quien puede utilizar las comunicaciones para enviar información al exterior, qué protocolos de comunicaciones están permitidos o qué tipo de información se puede enviar.



A nivel de dispositivos USB, cada vez más usados para llevar o traer información de la organización, existen varias amenazas que ponen en peligro la seguridad de la información de la empresa.
En caso de robo o pérdida, si no se cuenta con una política de cifrado de la información, ésta quedará accesible a terceros.
Actualmente existen ya dispositivos USB que simulan ser un dispositivo de almacenamiento pero que en realidad son como una especie de “teclado” que ejecuta una serie de instrucciones con tan sólo conectar el dispositivo a un ordenador.

Uno de los más conocidos es USB Rubber Ducky. Si el atacante consigue conectar el dispositivo al ordenador de la víctima, o mediante alguna técnica de ingeniería socialconseguir que su víctima lo haga, logrará ejecutar comandos en el ordenador de la víctima de la misma manera que lo haría si estuviera sentado justo delante de él.

Además, y para mayor preocupación, mediante técnicas de evasión de antivirus se consigue que muchas de las acciones realizadas por los atacantes y su USB Rubber Ducky no sean detectadas por los antivirus, o al menos por una gran mayoría.

Entonces, ¿estamos perdidos? ¿Deshabilitamos todos los USB de los ordenadores? Esta última opción me consta que hay varias empresas que la llevan a cabo, pero realmente estamos desaprovechando el potencial de los dispositivos USB de almacenamiento. Eso sí, siempre y cuando los usemos de forma segura, es decir, aplicando unas políticas de seguridad apropiadas..

Supongo, y quiero creer, que en la mayoría de los casos es por desconocimiento. Desconocimiento de que a día de hoy existen ya soluciones antivirus que no sólo nos defienden de malware. Hace ya tiempo que evolucionaron, y ofrecen muchas más funcionalidades para dar más seguridad al puesto del trabajo.

Desde hace ya un tiempo, se les conoce como soluciones Endpoint, y los fabricantes más importantes como ESET, Sophos, Panda o Kaspersky entre otros ya lo ofrecen. Precisamente además de limpiar malware, la mayoría ya son capaces de cifrar la información de un dispositivo USB o permiten un control de qué dispositivos USB se pueden conectar al equipo, lo que sería una importante contramedida para luchar contra amenazas como los USB Rubber Ducky.